Настоящее Соглашение об обработке данных («Соглашение») является частью Условий использования, заключённых между Soras Corporation LTD («Обработчик», «мы») и Клиентом («Контролёр», «вы»). Оно применяется, когда мы обрабатываем от вашего имени персональные данные, содержащиеся в Данных Клиента, в соответствии с GDPR ЕС, GDPR Великобритании, Федеральным законом Швейцарии о защите данных (FADP), а также — в качестве поставщика услуг — с CCPA/CPRA.
1. Обработка по указаниям
1.1 Мы обрабатываем Данные Клиента только по вашим документально оформленным указаниям, которыми являются настоящие Условия, настоящее Соглашение и использование вами функций Сервиса, если закон не требует иного (в этом случае мы заранее сообщаем вам об этом, если это допускается).
1.2 Мы сообщаем вам, если считаем, что какое-либо указание нарушает законодательство о защите данных.
1.3 Все лица, которых мы уполномочиваем обрабатывать Данные Клиента, связаны обязательством о конфиденциальности.
2. Безопасность
Мы применяем технические и организационные меры, указанные в Приложении II, и поддерживаем их соразмерными риску.
3. Субобработчики
3.1 Вы даёте нам общее разрешение на привлечение субобработчиков. Актуальный список размещён на странице Субобработчики с указанием местонахождения каждого поставщика, механизма передачи данных и сроков хранения.
3.2 Мы уведомляем не менее чем за 30 дней по электронной почте и на этой странице, прежде чем добавить или заменить субобработчика. Вы можете возразить по обоснованным причинам, связанным с защитой данных, написав по адресу help@sorascorp.com в течение срока уведомления. Если мы не можем устранить основания для возражения, вы вправе прекратить использование затронутого Сервиса и получить пропорциональный возврат предоплаченных сборов.
3.3 В экстренной ситуации (например, при внезапном отказе поставщика или инциденте безопасности) мы можем заменить субобработчика с более коротким сроком уведомления; в этом случае мы сообщаем вам об этом как можно скорее, а ваше право на возражение сохраняется.
3.4 Мы возлагаем на каждого субобработчика обязательства по защите данных, обеспечивающие защиту не ниже предусмотренной настоящим Соглашением, включая обязательство не обучать модели ИИ на Данных Клиента, и остаёмся ответственными за их исполнение.
4. Содействие
С учётом характера обработки мы помогаем вам отвечать на запросы субъектов данных (Сервис включает инструменты выгрузки и удаления), а также содействуем в вопросах безопасности, уведомления об утечках, оценки воздействия на защиту данных и предварительных консультаций.
5. Утечки персональных данных
Мы уведомляем вас без неоправданной задержки, и в любом случае в течение 48 часов, после того как нам станет известно об утечке персональных данных, затрагивающей Данные Клиента, предоставляем сведения, необходимые для выполнения ваших собственных обязательств, и держим вас в курсе.
6. Удаление и возврат
Вы можете выгрузить Данные Клиента в любой момент. По окончании предоставления Сервиса мы удаляем Данные Клиента в течение 30 дней после окончания срока для выгрузки, предусмотренного Условиями, если закон не требует их хранения. Резервные копии удаляются в течение ещё 30 дней.
7. Аудиты
Мы предоставляем сведения, необходимые для подтверждения соблюдения настоящего Соглашения, — прежде всего нашу документацию и ответы на разумные анкеты по безопасности. Если этого недостаточно, вы можете проводить аудит раз в год за свой счёт, с уведомлением за 30 дней, в рабочее время, при условии соблюдения конфиденциальности и без доступа к данным других клиентов.
8. Международная передача данных
8.1 Если Данные Клиента передаются из ЕЭЗ, Великобритании или Швейцарии в страну, в отношении которой нет решения о достаточности защиты, применяются Стандартные договорные положения, утверждённые Европейской комиссией: Modules 2 (controller to processor) and 3 (processor to processor). К передаче из Великобритании и Швейцарии применяются Дополнение Великобритании о международной передаче данных и изменения, необходимые в соответствии со швейцарским правом.
8.2 Положения включаются посредством ссылки со следующими вариантами: применяется Положение 7 (присоединение); Положение 9, вариант 2 (общее разрешение со сроком уведомления, указанным в разделе 3.2); необязательная формулировка Положения 11 не применяется; Положения 17 и 18: право и суды Ирландии [для юриста: подтвердить]. Приложения I и II к настоящему Соглашению дополняют приложения к Положениям.
9. CCPA/CPRA
В качестве поставщика услуг мы не продаём и не передаём («share») персональную информацию, не храним, не используем и не раскрываем её вне рамок наших непосредственных деловых отношений с вами или в каких-либо целях, кроме предоставления Сервиса, и не объединяем её с другими данными, кроме случаев, допускаемых CCPA. Мы подтверждаем, что понимаем эти ограничения и будем их соблюдать.
10. Без обучения
Мы не используем Данные Клиента для обучения или дообучения моделей ИИ, и наши субобработчики связаны таким же обязательством.
11. Ответственность
Ответственность каждой стороны по настоящему Соглашению подчиняется ограничению ответственности, предусмотренному Условиями. Ничто в настоящем Соглашении не ограничивает ответственность любой из сторон перед субъектами данных по статье 82 GDPR или права субъектов данных как третьих лиц-выгодоприобретателей по Стандартным договорным положениям.
12. Подписанные экземпляры
Клиенты, которым нужен экземпляр с подписью с нашей стороны, могут запросить его по адресу help@sorascorp.com. Подписанный экземпляр регистрируется в привязке к аккаунту.
Приложение I — Сведения об обработке
| Параметр | Сведения |
|---|---|
| Стороны | Контролёр: Клиент. Обработчик: Soras Corporation LTD, будет уточнено, help@sorascorp.com |
| Субъекты данных | Аудитория Клиента (авторы отзывов и комментариев, участники интервью, респонденты опросов, авторы публичных постов), а также сотрудники Клиента, которые пользуются Сервисом |
| Категории данных | Цитаты и фрагменты текста, псевдонимизированные имена авторов, временные метки, URL-адреса источников, загруженные файлы и их содержимое, созданные концепции и ответы |
| Специальные категории | Не предусматриваются. Они могут случайно присутствовать в публичных постах; применимость статьи 9(2)(e) оценивает Контролёр |
| Характер и цель | Хранение, индексирование, разметка, кластеризация, поиск и генерация текста по указаниям Контролёра для предоставления услуг исследования аудитории и креативной аналитики |
| Срок | Срок действия соглашения плюс сроки удаления, указанные в разделе 6 |
| Периодичность | Непрерывно |
Приложение II — Технические и организационные меры
- Изоляция: данные каждого рабочего пространства разделены защитой на уровне строк, которая обеспечивается в базе данных; на поисковые индексы распространяются те же правила.
- Шифрование: TLS при передаче; учётные данные коннекторов шифруются по алгоритму AES-256-GCM; секреты платформы запечатываются отдельно для каждого использующего их сервиса; резервные копии шифруются до того, как покидают сервер.
- Управление доступом: роли базы данных с минимально необходимыми привилегиями; пароли хешируются с помощью Argon2id; консоль администрирования с обязательной многофакторной аутентификацией, дополнительным подтверждением чувствительных действий, возможностью списка разрешённых IP-адресов и без доступа к контенту клиентов.
- Подотчётность: журнал аудита только с добавлением записей, с хеш-цепочкой для административных действий.
- Доступность и восстановление: непрерывное архивирование базы данных с восстановлением на момент времени (целевая точка восстановления — не более 5 минут), ежедневные ночные базовые резервные копии и еженедельный зашифрованный дамп, хранящийся 30 дней в регионе будет уточнено; учения по восстановлению с измерением времени восстановления.
- Хостинг: будет уточнено; публичный трафик попадает на серверы только через зашифрованный туннель.
- Поисковый индекс: строится на наших собственных серверах; ни один сторонний сервис эмбеддингов не получает Данные Клиента.
- Поставщики ИИ: только поставщики, обязующиеся не обучать модели на данных; строгий режим, настраиваемый для каждого рабочего пространства, ограничивает обработку выбранными регионами и поставщиками.